Javni Wi-Fi i VPN: šta tunel ne pokriva

Zelena značka, zadovoljan portal, radni preglednik: to je cijela vidljiva priča. Značka prešućuje da šifriranu vezu nosi upravo bežična veza od koje bi trebalo da vas zaštiti. Ta veza i dalje dostavlja svaki paket, i dalje vidi adresu odredišta i i dalje odlučuje da li će išta uopće stići. Pregled računarske strane hotelske veze pokazuje koje dijelove tunel pokriva, a koje ostavlja vama.

Pristupna veza nosi sve

IPsec ESP tunel umotava zaštićeni unutrašnji paket u vanjski zaglavlje koje mreža može usmjeriti, a RFC 4303 odjeljak 3.1.2 objašnjava tu podjelu. Unutrašnji paket je ono što tunel štiti. Vanjsko zaglavlje je ono što hotspot čita da bi ga proslijedio. Drugi dizajni enkapsuliraju drugačije, ali pitanje planiranja je isto: koja pristupna putanja nosi ovu vezu?

Kvar pristupnika ili veza koja gubi pakete zaustavlja dostavu bez otkrivanja sadržaja. Prelazak na jaču šifru tu ne pomaže, jer dio koji nedostaje je transport, a ne kriptografija. Uspješna dostava jednako malo dokazuje u drugom smjeru, jer radna putanja ne govori ništa o stanju nijednog od dva računara.

Vaš laptop i dalje ima svoja vrata

Pridruživanje nepouzdanom segmentu mijenja ko može doći do portova koje vaš računar sluša. Usluga dijeljenja datoteka, agent za daljinsku administraciju ili razvojni server vezan za sve interfejse dostupan je svakome na tom segmentu osim ako ga nešto ne zaustavi. Saobraćaj koji nikad ne uđe u tunel nije njime zaštićen. Slušalac koji odgovori prije nego što se tunel podigne izložen je tačno za taj prozor.

Zahtjev je uzak i vrijedi ga tačno izreći: laptop mora doći do VPN odredišta, a nepovezani uređaji na hotspotu ne smiju doći do lokalnih usluga. Pravila host firewalla izražavaju tu granicu, a i vlastite postavke dijeljenja platforme izražavaju dio nje. Štampač ili korak portala je ograničena iznimka koju svjesno dodajete, a ne dokaz da cijeli hotspot zaslužuje povjerenje uredske LAN mreže.

Neke organizacije također ograničavaju lokalni pristup dok je radna veza aktivna, što je politika, a ne inženjering. Pročitajte tu politiku prije nego što isključite firewall da bi periferni uređaj proradio.

Provjerite šta zapravo sluša

Gledajte sokete, a ne stranicu s postavkama, jer stranica opisuje namjeru, a tablica soketa opisuje računar. Dva popisa ispod odvajaju svaki slušajući soket od onih do kojih susjed može doći. Pokrenite ih na nepouzdanom segmentu prije povezivanja tunela.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Prva komanda prikazuje svaki soket, a druga filtrira one vezane izvan loopbacka. Usluga na 0.0.0.0 ili :: dostupna je na svakom interfejsu, uključujući bežični, dok ista usluga na 127.0.0.1 uopće nije dostupna sa segmenta. Upit razrješivača potvrđuje koju putanju ime zauzima prije nego što tunel postoji, i tu se otvoreni portali miješaju. Ponovite popis nakon povezivanja, jer neki klijenti podižu interfejse koji mijenjaju odgovor.

Port koji se pojavljuje samo dok je tunel podignut manje je izložen, iako je o njemu i dalje vrijedno znati. Zabilježite razliku, a ne apsolutni popis, jer je delta ono što je tunel dodao.

Ne prihvatajte novi identitet usred sesije

Neočekivana promjena rute, ponovno povezivanje ili preusmjeravanje portala nije dozvola za prihvatanje drugog identiteta servera. Ako klijent prijavi nepodudarnost certifikata ili ključa, tretirajte to kao nalaz o identitetu, a ne kao povezanost koju treba zaobići. Instaliranje neobjašnjenog korijenskog certifikata da bi portal proradio pretvara problem dostave u problem povjerenja. A problem povjerenja zatim nadživi putovanje koje ga je stvorilo.

Koristite vlastiti tok preglednika portala, zatim ponovo povežite tunel i pročitajte klijentski dnevnik za identitet koji je provjerio. Neuspjeh identiteta znači da sagovornik nije onaj koga ste očekivali, dok neuspjeh dostave znači da sagovornik nikad nije odgovorio. Prvo je razlog da stanete, a drugo razlog da pokušate drugu putanju.

Prvo odlučite ponašanje pri prekidu

Ovdje se brkaju dvije različite funkcije. Ponovno povezivanje pokušava vratiti uslugu, dok politika blokiranja kontroliše koji je saobraćaj dozvoljen dok je tunel pao. Ni jedno ne daje radnu bežičnu vezu, i ni jedno ne dokazuje da je odredište čisto. Odlučite eksplicitno: zatvoreni neuspjeh za aplikacije koje nikad ne smiju koristiti lokalnu putanju, i dozvolite obično pregledanje izvan tunela ako je to prihvatljivo.

Zapišite izbor, jer zadana vrijednost u većini klijenata nije nijedno od toga i varira po verziji. Zatim uredite alternativnu pristupnu putanju ako je dostupnost važna, poput telefonskog hotspot-a s vlastitim podatkovnim planom. Prihvatljiv test prihvatanja ima tri odvojena ishoda: namjeravani saobraćaj koristi provjereni tunel, nepovezani lokalni slušaoci su nedostupni, a prekid proizvodi ponašanje koje ste odabrali.